Fraude bancario por canales digitales

Las estafas por vía telefónica o correos electrónicos se han convertido en una constante en México y, desafortunadamente, van en ascenso, afectando tanto a usuarios como a instituciones financieras

Por: Jaime Villa Escobosa, abogado Egresado del ITAM con diversos estudios de posgrado en varias instituciones nacionales y extranjeras

Miércoles 22 de abril, 21:12 horas: recibo en mi celular una notificación de mi banco informando sobre una compra realizada con mi tarjeta de crédito por 32 mil 310.26 pesos en la tienda en línea de Apple. Cabe señalar que es frecuente que reciba, a través de mensajes de texto, WhatsApp o correos electrónicos, supuestos avisos de bancos (siempre de instituciones en las que tengo cuenta) alertándome sobre operaciones inexistentes para que me comunique y reconozca o desconozca la operación en cuestión. Inmediatamente busqué en mi cartera la tarjeta involucrada y llamé al banco para reportar y desconocer la compra. Fui afortunado, debido a que el monto me fue devuelto días después. 

A la fecha, sigo sin identificar en qué momento pudieron haber accedido a la información de mi tarjeta o haberla clonado, puesto que tenía más de una semana sin utilizarla y no acostumbro contestar llamadas de números desconocidos. A casi tres semanas del incidente, la única posibilidad que viene a mi mente es que la tarjeta hubiera sido clonada ese mismo día mediante un dispositivo que acercan al cuerpo, a pocos centímetros del lugar donde se lleva el plástico. Nunca lo sabré.

Lo que sí sé, porque soy abogado financiero y fui director general Jurídico en la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros (Condusef), así como director general de Delitos y Sanciones de la Comisión Nacional Bancaria y de Valores (CNBV) durante 10 años, y que mi práctica profesional independiente me ha llevado a representar a diversas instituciones ante la propia Condusef en controversias que se resuelven ante dicho organismo descentralizado, es que el fraude bancario va al alza y, en nuestro país, ha dejado de ser un riesgo aislado para convertirse en un problema sistémico que afecta tanto a usuarios individuales como a instituciones bancarias y a la confianza general en el sistema financiero. 

Los datos más recientes de la Condusef y la CNBV permiten trazar un diagnóstico preciso: estamos ante un fenómeno en constante mutación, impulsado por la acelerada digitalización de los servicios financieros y por la creciente sofisticación de los esquemas delictivos. Bandas criminales, tanto mexicanas como internacionales, están en todo momento al acecho de usuarios incautos para aprovechar cualquier descuido que les permita apropiarse ilícitamente de recursos.

Hay tres grandes modalidades de fraude en perjuicio de los usuarios que concentran la mayoría de los casos. No resultan tan complicadas de entender ni de prevenir; sin embargo, muchos clientes, actuando de buena fe, se convierten con su actuar, en artífices, facilitadores y actores principales de dichas conductas ilícitas.

1. Cargos no reconocidos. Alguien usó los datos de tu tarjeta para comprar algo en internet. Puede haber ocurrido en una tienda con deficiencias de seguridad, en un cajero manipulado o en un sitio falso que parecía real. 

2. La transferencia que tú mismo hiciste. El Sistema de Transferencias Instantáneas (SPEI) tiene una particularidad que muy pocos usuarios conocen: el nombre que aparece como destinatario no es un identificador real. Lo único que importa es el número de cuenta CLABE. Si ese número corresponde al de un estafador, el dinero llegará a este, aunque el nombre indique “Palacio de Hierro” o “Aeroméxico”. 

3. La llamada del “banco”. Esta es la modalidad más recurrente, la de mayor crecimiento y la que más dinero mueve. Alguien te llama, sabe tu nombre, conoce el banco donde tienes cuenta y, a veces, incluso el saldo aproximado. Habla con el vocabulario exacto de un ejecutivo bancario. Te alerta sobre algo —un cargo sospechoso, una vulneración de tu cuenta o una investigación en curso— y, a partir de ahí, todo lo que te pide suena razonable.

76.9% de los fraudes reportados en México ocurren por esta vía: llamadas, mensajes y sitios falsos que imitan a instituciones reales, según datos dados a conocer por la empresa The Competitive Intelligence Unit (The CIU, 2025).

Los delincuentes saben que es mucho más fácil atacar a los clientes que a las instituciones bancarias, porque estas invierten cantidades millonarias para evitar o minimizar el riesgo de que sus propios sistemas sean vulnerados. Así, cuando el banco se percata de que hubo un acceso no autorizado a la cuenta, debe asumir —de hecho, lo hace— la responsabilidad y cubrir el monto indebidamente dispuesto. Sin embargo, cuando fue el propio usuario quien instruyó y ejecutó la operación, aun bajo engaño, es muy difícil que la institución asuma la pérdida, en virtud de que los sistemas del banco no fueron vulnerados por el delincuente, sino que fue el cliente quien proporcionó sus claves, número de identificación personal y demás información confidencial (rostro y firma digital) para facilitar la consumación del ilícito.

Los fantásticos teléfonos inteligentes, en los que los usuarios concentran información valiosa de sus finanzas y a través de los cuales realizan operaciones de la más diversa índole, se convierten en el objetivo principal de los ciberdelincuentes, debido a que no hackean la cuenta, sino que prácticamente “hackean” digitalmente a la persona, permitiendo la realización de innumerables operaciones en detrimento del patrimonio del propietario del dispositivo. Según reportes de la Condusef, en fraudes a través de banca móvil —la modalidad que más crece— solo se devuelve el 4.8% del dinero reclamado. Por cada 100 pesos robados, 95 se quedan sin recuperar.

Otra modalidad de fraude que afecta a usuarios, pero también a las instituciones, es el robo de identidad, que ha escalado para convertirse en una de las variantes con mayor alcance institucional. 

El mecanismo clásico consiste en abrir cuentas bancarias con documentos de identidad robados o falsificados. Una variante en expansión es el engaño mediante pretextos como devoluciones de impuestos o depósitos de programas sociales, a través de los cuales los delincuentes obtienen datos personales y abren cuentas a nombre de terceros sin su conocimiento (Mario Di Costanzo, expresidente Condusef, citado por Vanguardia, septiembre 2024).

Otra forma cada vez más frecuente se presenta cuando las instituciones otorgan créditos a delincuentes que usurpan la identidad de personas honorables. Depositan el monto del crédito a una persona que no lo solicitó, pero a una cuenta abierta con documentación falsa. El delincuente recibe el recurso y se lo lleva. El banco, al no recibir el pago demanda al usuario y lo boletina en burós de crédito. El usuario reclama que no solicitó ni recibió el crédito, por lo que al final la institución asume la pérdida.

La respuesta institucional al fraude bancario se articula a través de varios instrumentos. La Condusef opera el Portal de Fraudes Financieros, donde los usuarios pueden reportar teléfonos, páginas web, correos electrónicos e instituciones falsas identificadas. La CNBV supervisa el cumplimiento de las medidas de seguridad operativa que las instituciones están obligadas a implementar.

Una medida regulatoria relevante es el Monto Transaccional del Usuario (MTU), una regulación del Banco de México que impone límites diferenciados a las transferencias digitales. Su implementación, sin embargo, ha generado también nuevas oportunidades para el fraude: los delincuentes han comenzado a suplantar a representantes bancarios para convencer a usuarios de subir el límite de su MTU, cuando en realidad buscan obtener acceso a sus credenciales (El Financiero).

Actualmente, en México no existe un marco normativo específico y robusto que permita combatir de manera integral el phishing y los fraudes cibernéticos afines. La consultora The CIU ha señalado la necesidad de desarrollar legislación que contemple la tipificación específica de estos delitos y habilite mecanismos de prevención como el bloqueo de números SPAM identificados (The CIU, junio 2025).

El fraude bancario paulatinamente se desplaza hacia canales digitales —de 59% en 2018 a 71% en 2023—; no es una tendencia pasajera, sino la expresión de un cambio estructural en la forma en que opera el sistema financiero y, con él, la criminalidad financiera.

Para reguladores, instituciones y usuarios, los datos señalan prioridades claras:

• Para los reguladores y autoridades:

La ausencia de tipificación específica del phishing y otras formas de fraude cibernético en la legislación penal deja a las víctimas en un limbo que favorece la impunidad.

La coordinación entre la Condusef, la CNBV, el Banco de México, el Ministerio Público y la Policía Cibernética es indispensable para construir una respuesta a la velocidad de evolución del delito.

• Para las instituciones:

La adopción de autenticación multifactor robusta, biometría conductual y monitoreo de transacciones atípicas reduce tanto el fraude como la exposición regulatoria y reputacional.

• Para los usuarios:

Tener en cuenta que ninguna institución legítima solicita números de tarjetas, claves confidenciales, NIP ni instruye acciones en cajeros por teléfono.

Ante cualquier contacto no solicitado, la verificación debe hacerse a través de los canales oficiales de la institución, no respondiendo al contacto recibido.

La consulta del SIPRES y el Buró de Entidades Financieras de la Condusef son herramientas gratuitas para verificar la legitimidad de cualquier institución financiera.

El fraude bancario es, en última instancia, un costo que siempre alguien tiene que pagar. La pregunta relevante no es si existe el problema, sino quién asume la responsabilidad de resolverlo.

Otra modalidad de fraude que afecta a usuarios y a instituciones es el robo de identidad, que ha escalado para convertirse en una de las variantes con mayor alcance institucional.

Servicios del Portal de Fraudes Financieros

Muestra el catálogo de empresas falsas que simulan ser instituciones financieras reales.

Da a conocer el modus operandi más común que usan estafadores para engañar.

En el sitio se reportan sospechas si se reciben llamadas, correos o mensajes inciertos. 

76.9% de fraudes reportados son por teléfono y sitios falsos. 

4.8%  del dinero reclamado es el que se devuelve.